31.1.2018   

MT

Il-Ġurnal Uffiċjali tal-Unjoni Ewropea

L 26/48

(1)

Skont id-Direttiva (UE) 2016/1148, il-fornituri tas-servizzi diġitali jibqgħu liberi li jieħdu miżuri tekniċi u organizzattivi li huma jikkunsidraw xierqa u proporzjonati biex iġestixxu r-riskju għas-sigurtà tan-netwerks u tas-sistemi tal-informazzjoni tagħhom, sakemm dawk il-miżuri jiżguraw livell adegwat ta' sigurtà u jqisu l-elementi previsti f'dik id-Direttiva.

(2)

Meta jidentifikaw il-miżuri tekniċi u organizzattivi li huma xierqa u proporzjonati, il-fornituri tas-servizzi diġitali jenħtieġ jindirizzaw is-sigurtà tal-informazzjoni b'mod sistematiku billi jużaw approċċ ibbażat fuq ir-riskju.

(3)

Sabiex jiżguraw is-sigurtà tas-sistemi u tal-faċilitajiet, il-fornituri tas-servizzi diġitali jenħtieġ li jwettqu proċeduri ta' valutazzjoni u analiżi. Dawn l-attivitajiet jenħtieġ li jikkonċernaw il-ġestjoni sistematika tan-network u tas-sistemi tal-informazzjoni, is-sigurtà fiżika u ambjentali, is-sigurtà tal-provvisti u l-kontrolli tal-aċċess.

(4)

Meta l-fornituri tas-servizzi diġitali jwettqu analiżi tar-riskju fi ħdan il-ġestjoni sistematika tan-network u tas-sistemi tal-informazzjoni, dawn jenħtieġ li jiġu mħeġġa jidentifikaw riskji speċifiċi u jikkwantifikaw is-sinifikat tagħhom, pereżempju billi jidentifikaw it-theddid għall-assi kritiċi u kif dawn jistgħu jaffettwaw l-operazzjonijiet, u jiddeterminaw l-aħjar mod kif jimmitigaw dak it-theddid abbażi tal-kapaċitajiet attwali u tal-ħtiġijiet tar-riżorsi.

(5)

Il-politiki dwar ir-riżorsi umani jistgħu jirreferu għall-ġestjoni tal-ħiliet, inkluż aspetti marbuta mal-iżvilupp tal-ħiliet marbuta mas-sigurtà u mas-sensibilizzazzjoni. Meta jiddeċiedu dwar sett ta' politiki xierqa dwar is-sigurtà tal-operazzjoni, il-fornituri tas-servizzi diġitali jenħtieġ jiġu mħeġġa jqisu l-aspetti tal-ġestjoni tal-bidla, il-ġestjoni tal-vulnerabbiltà, il-formalizzazzjoni tal-operat u tal-prattiċi amministrattivi u l-immappjar tas-servizz.

(6)

Il-politiki dwar l-arkitettura tas-sigurtà jistgħu jikkompromettu b'mod partikolari s-segregazzjoni tan-netwerks u tas-sistemi kif ukoll miżuri speċifiċi tas-sigurtà għall-operazzjonijiet kritiċi bħall-operazzjonijiet ta' amministrazzjoni. Is-segregazzjoni tan-netwerks u tas-sistemi tista' tgħin lil fornitur tas-servizzi diġitali biex jiddistingwi bejn elementi bħall-flussi tad-dejta u r-riżorsi komputazzjonali li jappartjenu għal klijent, grupp ta' klijenti, il-fornitur tas-servizzi diġitali jew partijiet terzi.

(7)

Il-miżuri li jittieħdu fir-rigward tas-sigurtà fiżika u ambjentali jenħtieġ li jiżguraw is-sigurtà tan-network u tas-sistemi tal-informazzjoni tal-organizzazzjoni kontra l-ħsara kkawżata minn inċidenti bħal serq, nirien, għargħar jew effetti oħra tat-temp, telf tat-telekomunikazzjonijiet jew tal-elettriku.

(8)

Is-sigurtà tal-provvista bħall-elettriku, il-fjuwil jew it-tkessiħ jenħtieġ tinkludi s-sigurtà tal-katina tal-provvista li tinkludi b'mod partikolari s-sigurtà tal-kuntratturi u tas-sottokuntratturi tal-parti terza u l-ġestjoni tagħhom. It-traċċabbiltà tal-provvisti kritiċi tirreferi għall-abbiltà tal-fornitur tas-servizz diġitali li jidentifika u jirreġistra sorsi ta' dawk il-provvisti.

(9)

L-utenti tas-servizzi diġitali jenħtieġ jinkludu persuni fiżiċi u ġuridiċi li huma klijenti jew abbonati ta' suq online jew ta' servizz tal-cloud computing, jew iżuru sit web ta' magna tat-tiftix online sabiex ifittxu ċertu kliem ewlieni.

(10)

Meta tiġi definita s-sostanzjalità tal-impatt ta' inċident, il-każijiet deskritti f'dan ir-Regolament jenħtieġ jiġu kkunsidrati bħala lista mhux eżawrjenti ta' inċidenti sostanzjali. Jenħtieġ li jingħarfu l-lezzjonijiet miksuba mill-implimentazzjoni ta' dan ir-Regolament u mill-ħidma tal-Grupp ta' Kooperazzjoni fejn jidħol il-ġbir ta' informazzjoni fuq l-aħjar prattika marbuta mar-riskji u mal-inċidenti u fejn jidħlu d-diskussjonijiet dwar il-modalitajiet għar-rappurtar tan-notifiki tal-inċidenti kif jissemma fil-punti (i) u (m) tal-Artikolu 11(3) tad-Direttiva (UE) 2016/1148. L-eżitu jista' jkun linji gwida komprensivi dwar il-livelli limiti kwantitattivi tal-parametri tan-notifika li jistgħu jiskattaw l-obbligu tan-notifika għall-fornituri tas-servizzi diġitali skont l-Artikolu 16(3) tad-Direttiva (UE) 2016/1148. Meta jkun jixraq, il-Kummissjoni tista' tikkunsidra wkoll li terġa' teżamina l-livelli limiti li bħalissa huma stabbiliti f'dan ir-Regolament.

(11)

Sabiex l-awtoritajiet kompetenti jkunu jistgħu jiġu informati dwar riskji ġodda potenzjali, il-fornituri tas-servizzi diġitali jenħtieġ li jitħeġġu biex minn jeddhom jirrapportaw kwalunkwe inċident li l-karatteristiċi tiegħu ma jkunux għadhom saru midħla tagħhom bħal sfruttamenti, attakki vettorjali jew atturi ta' theddid, vulnerabbiltajiet u perikli ġodda.

(12)

Dan ir-Regolament jenħtieġ li japplika fil-jum ta' wara t-tmiem tal-iskadenza għat-traspożizzjoni tad-Direttiva (UE) 2016/1148.

(13)

Il-miżuri previsti f'dan ir-Regolament huma skont l-opinjoni tal-Kumitat għas-Sigurtà tan-Networks u tas-Sistemi tal-Informazzjoni msemmi fl-Artikolu 22 tad-Direttiva (UE) 2016/1148,

(a)

il-ġestjoni sistematika tan-netwerks u tas-sistemi tal-informazzjoni li tfisser l-immappjar tas-sistemi tal-informazzjoni u l-istabbiliment ta' sett ta' politiki xierqa għall-ġestjoni tas-sigurtà tal-informazzjoni, inkluż analiżi tar-riskju, ir-riżorsi umani, is-sigurtà tal-operazzjonijiet, arkitettura tas-sigurtà, dejta sigura u ġestjoni taċ-ċiklu tal-ħajja tas-sistema u fejn applikabbli, kriptaġġ u l-ġestjoni tiegħu.

(b)

is-sigurtà fiżika u ambjentali li tfisser id-disponibbiltà ta' sett ta' miżuri għall-protezzjoni tas-sigurtà tan-network u tas-sistemi tal-informazzjoni tal-fornituri tas-servizzi diġitali kontra l-ħsara permezz tal-użu ta' approċċ ibbażat fuq ir-riskju tal-perikli kollha, li jindirizza pereżempju falliment tas-sistema, żball uman, azzjoni malizzjuża jew fenomenu naturali

(c)

is-sigurtà tal-provvisti li tfisser l-istabbiliment u ż-żamma ta' politiki xierqa li jiżguraw l-aċċessibbiltà u, fejn applikabbli, it-traċċabbiltà tal-provvisti kritiċi użati fil-forniment tas-servizzi;

(d)

il-kontrolli tal-aċċess għan-network u għas-sistemi tal-informazzjoni li tfisser id-disponibbiltà ta' sett ta' miżuri sabiex jiżguraw li l-aċċess fiżiku u loġiku għan-network u għas-sistemi tal-informazzjoni, inkluż is-sigurtà amministrattiva tan-network u tas-sistemi tal-informazzjoni, tkun awtorizzata u ristretta abbażi tar-rekwiżiti tan-negozju u tas-sigurtà.

(a)

iż-żamma u l-ittestjar tal-proċessi u tal-proċeduri ta' detezzjoni biex tkun żgurata sensibilizzazzjoni f'waqtha u adegwata tal-avvenimenti anomali;

(b)

proċessi u politiki dwar ir-rapportar tal-inċidenti u l-identifikazzjoni tad-dgħufiji u tal-vulnerabbiltajiet fis-sistemi tal-informazzjoni tagħhom;

(c)

reazzjoni skont il-proċeduri stabbiliti u rapportar tar-riżultati tal-miżura meħuda;

(d)

valutazzjoni tal-gravità tal-inċident, dokumentar tat-tagħrif mill-analiżi tal-inċident, u ġbir ta' informazzjoni rilevanti li jistgħu jservu ta' evidenza u appoġġ għal proċess ta' titjib kontinwu.

(a)

l-istabbiliment u l-użu ta' pjanijiet ta' kontinġenza bbażati fuq analiżi tal-impatt tan-negozju biex tkun żgurata l-kontinwità tas-servizzi min-naħa tal-fornituri tas-servizzi diġitali li għandhom jiġu vvalutati u ttestjati b'mod regolari, pereżempju permezz ta' eżerċizzji;

(b)

il-kapaċitajiet tal-irkupru minn diżastru li għandhom jiġu vvalutati u ttestjati b'mod regolari, pereżempju permezz ta' eżerċizzji.

(a)

it-twettiq ta' sekwenza ppjanata ta' osservazzjonijiet jew ta' miżuri biex jiġi valutat jekk in-netwerks u s-sistemi tal-informazzjoni humiex jaħdmu kif suppost;

(b)

spezzjoni u verifika biex jiġu verifikat jekk hux qed jiġi segwit xi standard jew xi sett ta' linji gwida, li r-rekords huma preċiżi, u li l-miri tal-effiċjenza u tal-effettività qed jintlaħqu;

(c)

proċess maħsub biex jiżvela n-nuqqasijiet fil-mekkaniżmi tas-sigurtà tan-netwerk u tas-sistema tal-informazzjoni li jipproteġu d-dejta u jżommu l-funzjonalità kif suppost. Dan il-proċess għandu jinkludi proċessi tekniċi u lill-persunal involut fil-fluss tal-operazzjoni.

(a)

l-għadd ta' persuni fiżiċi u ġuridiċi affettwati li magħhom ġie konkluż kuntratt għall-forniment tas-servizz; jew

(b)

l-għadd ta' utenti effettwati li jkunu użaw is-servizz, b'mod partikolari abbażi ta' dejta tat-traffiku preċedenti.

(a)

Is-servizz fornut minn fornitur tas-servizzi diġitali ma kienx disponibbli għal aktar minn 5 000 000 siegħa tal-utent meta t-terminu “siegħa tal-utent” ikun jirreferi għall-għadd ta' utenti affettwati fl-Unjoni għal durata ta' sittin minuta;

(b)

L-inċident wassal għal telf tal-integrità, tal-awtentiċità jew tal-kunfidenzjalità ta' dejta maħżuna jew trażmessa jew proċessata jew tas-servizzi relatati offruti minn netwerk jew sistema tal-informazzjoni tal-fornitur tas-servizzi diġitali, jew li huma aċċessibbli permezz tagħhom, li jaffettwa aktar minn 100 000 utent fl-Unjoni;

(c)

L-inċident ħoloq riskju għas-sikurezza pubblika, għas-sigurtà pubblika jew telf ta' ħajjiet;

(d)

L-inċident ikkawża ħsara materjali għal mill-inqas utent wieħed fl-Unjoni u l-ħsara kkawżata lil dak l-utent tkun aktar minn EUR 1 000 000.